IDS測(cè)試系統(tǒng)AOLES的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著對(duì)入侵檢測(cè)技術(shù)研究的發(fā)展,出現(xiàn)了許多入侵檢測(cè)系統(tǒng),因此對(duì)各種入侵檢測(cè)系統(tǒng)的功能和性能評(píng)估也形成了需求.在需求的推動(dòng)之下,對(duì)于IDS系統(tǒng)的測(cè)試也相應(yīng)處于不斷發(fā)展之中,1996年Nicholas J.Puketza等人提出通過(guò)模擬被監(jiān)測(cè)系統(tǒng)上用戶的行為來(lái)測(cè)試IDS系統(tǒng)的方法.1998、1999年MIT的Licoln Laboratory通過(guò)模擬美軍空軍基地的日常網(wǎng)絡(luò)流量進(jìn)行了IDS系統(tǒng)的兩次測(cè)試.2000年時(shí),MIT在測(cè)試數(shù)據(jù)中加入了對(duì)

2、于DDoS(Distributed Deny of Service)攻擊的模擬.2001年Terrence Champion等人專門(mén)對(duì)于IDS系統(tǒng)檢測(cè)DDoS攻擊的能力進(jìn)行了測(cè)量,同時(shí)還考慮了IDS系統(tǒng)響應(yīng)功能的評(píng)測(cè).與此同時(shí),一些商業(yè)廠家也給出了自己的入侵檢測(cè)系統(tǒng)的評(píng)估方法.本文在對(duì)已有測(cè)試方法研究的基礎(chǔ)上指出在測(cè)試過(guò)程中背景流量的應(yīng)用方式對(duì)測(cè)試結(jié)果有重要的影響.不使用背景流量只能進(jìn)行功能測(cè)試,不能反映被測(cè)系統(tǒng)在實(shí)際環(huán)境中的工作情況.

3、使用重復(fù)相同的或隨機(jī)的背景流量不適用于測(cè)試進(jìn)行協(xié)議內(nèi)容分析的IDS系統(tǒng).使用從真實(shí)環(huán)境中采集的背景流量,測(cè)試結(jié)果會(huì)受到背景流量中未知數(shù)據(jù)的干擾,且牽涉到數(shù)據(jù)的隱私問(wèn)題.因此使用測(cè)試平臺(tái)模擬實(shí)際的網(wǎng)絡(luò)流量是一種很好的解決方案,本文根據(jù)已有的測(cè)試工作,列舉了一組用于IDS測(cè)試的重要指標(biāo).這組指標(biāo)可以被按照功能測(cè)試、性能測(cè)試和穩(wěn)定性測(cè)試分為三類.并且根據(jù)各種測(cè)試指標(biāo),制定了一個(gè)較為完整的評(píng)估指標(biāo)集.該指標(biāo)集是功能指標(biāo),性能指標(biāo)和穩(wěn)定性指標(biāo)的量

4、化體現(xiàn).本文指出Nicholas J.Puketza等人的評(píng)估工作和MIT的評(píng)估工作在構(gòu)造網(wǎng)絡(luò)背景流量時(shí),采用的是自頂向下的方法,既通過(guò)模擬各種應(yīng)用層程序的行為來(lái)生成網(wǎng)絡(luò)流量.這種方法受到應(yīng)用層程序功能復(fù)雜和數(shù)量眾多的制約,在實(shí)現(xiàn)上有很大的困難,并且這種方法也不能有效的控制背景流量的大小和概率特性.本文提出了一種模擬協(xié)議棧的工作過(guò)程,使用概率參數(shù)和協(xié)議模板相結(jié)合來(lái)構(gòu)造網(wǎng)絡(luò)背景流量的方法.實(shí)驗(yàn)數(shù)據(jù)表明本文的背景流量構(gòu)造方法能夠克服已有背景

5、流量構(gòu)造方法遇到的困難,通過(guò)使用概率參數(shù)可以很好的控制背景流量的大小和流量中的報(bào)文到達(dá)率,通過(guò)使用模板可以完成特定應(yīng)用層協(xié)議的交互過(guò)程和協(xié)議內(nèi)容的模擬.本文構(gòu)造的背景流量可以很好的模擬目前常見(jiàn)的網(wǎng)絡(luò)環(huán)境.本文設(shè)計(jì)了入侵檢測(cè)系統(tǒng)測(cè)試平臺(tái)AOLES的體系結(jié)構(gòu),接著對(duì)AOLES的測(cè)試數(shù)據(jù)生成、測(cè)試數(shù)據(jù)播放和測(cè)試結(jié)果評(píng)分的相關(guān)算法分別進(jìn)行了介紹.在測(cè)試結(jié)果的評(píng)分過(guò)程中,AOLES通過(guò)引入同步點(diǎn)的概念來(lái)解決已有測(cè)試在評(píng)分上遇到的困難.依靠同步點(diǎn)來(lái)